dois-je signaler un piratage ou une fuite de données à mon client

Signaler au client est généralement contractuel, et non légal

L'obligation de signaler un incident de cybersécurité se trouve dans la plupart des cas dans le contrat avec votre client, non directement dans la loi. L'article 21 paragraphe 2 de la directive NIS2 oblige les organismes qui relèvent eux-mêmes de la directive à mettre en place une réponse aux incidents et à les signaler à leur propre autorité de surveillance — c'est l'ensemble de dix mesures que vous retrouverez dans pratiquement chaque questionnaire. Cette obligation de signaler à une autorité de surveillance est différente d'une obligation de signaler à un client. Le fait que vous deviez signaler un incident à votre maître d'ouvrage dépend donc de ce qui est inscrit dans le contrat de traitement ou le contrat de fourniture, et de la question de savoir si votre client relève lui-même de la directive NIS2 et dépend donc de votre signalement pour maintenir sa chaîne en bon ordre.

Dans la pratique, le questionnaire ne demande pas « avez-vous eu un incident », mais s'il existe une procédure pour identifier, évaluer et signaler les incidents — c'est précisément ce vers quoi la question relative à une procédure pour les incidents de sécurité s'oriente. Si vous avez cette procédure, vous pouvez répondre par oui à cette question sans jamais avoir à dire si et quand vous avez eu un incident concret. Cette dernière question reste une question contractuelle distincte qui peut différer selon le client.

Sur quoi cela repose : Loi sur la cybersécurité et Annexe A

La Loi sur la cybersécurité, la transposition néerlandaise de NIS2 qui entrera en vigueur le 15 août 2026, établit l'obligation de signaler à l'autorité de surveillance pour les entités qui relèvent de la loi — le fait que cela s'applique à votre entreprise est la question qui revient également dans ou si l'entreprise elle-même relève de la directive NIS2. ISO/IEC 27001 Annexe A le développe en interne en tant que mesure de contrôle pour la gestion des incidents, indépendamment de toute obligation de signalement à un tiers. Une obligation contractuelle de signaler à un client s'ajoute donc à, et ne remplace pas, ces cadres législatifs et normatifs.